Desbordamiento del informe TSUBAME (abril-junio de 2024) – JPCERT/CC Eyes


Summarize this content to 600 words
Esta serie de informes adicionales de TSUBAME analiza las tendencias de monitoreo de los sensores TSUBAME en el extranjero y otras actividades que los informes trimestrales de monitoreo de amenazas de Internet no incluyen. Este artículo cubre los resultados del monitoreo para el período de abril a junio de 2024. Las tendencias de escaneo observadas con los sensores TSUBAME en Japón se presentan en gráficos aquí.

Actividades para escanear Telnet desde routers TP-LINK

JPCERT/CC analiza los datos recopilados por TSUBAME todos los días. Desde principios de mayo, se observaron muchos paquetes de escaneo desde enrutadores de LAN inalámbrica a Telnet en un ISP en particular. Investigamos las direcciones IP de origen de esos paquetes y encontramos muchos enrutadores de LAN inalámbrica TP-LINK, en particular el AX3000 con su versión de firmware 1.0.0. La Figura 1 muestra la captura de pantalla del enrutador.

Figura 1: Pantalla de inicio de sesión de un enrutador TP-LINK que funciona con una versión de firmware específica

Verificamos los registros de WHOIS para las direcciones IP de origen que mostraban la pantalla como la Figura 1 para identificar de qué ISP o rangos de red provienen principalmente, y parecía haber comunicaciones particularmente frecuentes desde 5 rangos de red de un determinado ISP. La Figura 2 muestra los cambios en la cantidad de direcciones IP de origen observadas por TSUBAME para los 5 rangos de red.

Figura 2: Cambios en la cantidad de direcciones IP de origen de los paquetes enviados desde las 5 redes al sensor TSUBAME

Puede ver que hubo un cambio significativo en la cantidad de direcciones IP de origen a fines de abril. Hubo subidas y bajadas, pero el problema no se ha resuelto al 30 de junio. JPCERT/CC ha estado proporcionando datos de observación al ISP para resolver el problema. TP-LINK AX3000 todavía está ampliamente disponible en las tiendas de electrónica de consumo. Dado que muchos usuarios diferentes deberían haber comprado este producto, es poco probable que sólo los usuarios de un ISP en particular continúen usando una versión de firmware específica. Por lo tanto, existe la posibilidad de que un usuario específico que compró una gran cantidad del producto por algún motivo, o una empresa que brinda un determinado servicio, esté utilizando una versión de firmware específica con fines de administración centralizada. Al utilizar dispositivos conectados a Internet, como enrutadores, es esencial seleccionar un producto compatible, actualizar su versión de firmware y asegurarse de que esté configurado correctamente. En particular, se recomienda a las empresas que incluyan dichos elementos en la lista de gestión y mantenimiento.

Comparación de las tendencias de observación en Japón y en el extranjero.

La Figura 3 es una comparación mensual del número promedio de paquetes recibidos en Japón y en el extranjero. Los sensores extranjeros recibieron más paquetes que los de Japón.

Figura 3: Comparación mensual del número promedio de paquetes recibidos en Japón y en el extranjero

Comparación de tendencias de seguimiento por sensor

Se asigna una dirección IP global a cada sensor TSUBAME. La Tabla 1 muestra los 10 puertos principales de cada sensor que recibieron más paquetes. Aunque el orden es diferente en cada sensor, casi todos los sensores observaron los paquetes para 23/TCP, 8728/TCP, 22/TCP, 8080/TCP, 80/TCP e ICMP. Esto sugiere que estos protocolos se están escaneando en una amplia gama de redes.

Tabla 1: Comparación de los 10 paquetes principales por sensores nacionales y extranjeros

Sensor en Japón #1Sensor en Japón #2Sensor en Japón #3Sensor en el extranjero #1Sensor en el extranjero #2Sensor en el extranjero #3
#123/TCP23/TCP23/TCP23/TCPICMP23/TCP
#28728/TCP8728/TCP8728/TCP80/TCP23/TCPICMP
#36379/TCP80/TCP6379/TCP22/TCP8728/TCP80/TCP
#422/TCP6379/TCP22/TCP8728/TCP80/TCP8728/TCP
#580/TCP22/TCP80/TCP443/TCP22/TCP6379/TCP
#63389/TCP3389/TCP8443/TCP3389/TCP443/TCP22/TCP
#74719/TCPICMP3389/TCP8080/TCP8080/TCP443/TCP
#8ICMP8080/TCPICMPICMP3389/TCP8080/TCP
#98080/TCP443/TCP4719/TCP445/TCP2222/TCP3389/TCP
#10445/TCP2222/TCP8080/TCP8081/TCP8081/TCP2222/TCP

Para terminar

El monitoreo en múltiples ubicaciones nos permite determinar si ciertos cambios están ocurriendo solo en una red en particular. Aunque no hemos publicado ninguna alerta especial como tema extra u otra información este trimestre, es importante prestar atención a los escáneres. Continuaremos publicando artículos de blog a medida que el Informe trimestral de monitoreo de amenazas en Internet esté disponible cada trimestre. También publicaremos un número adicional cuando observemos algún cambio inusual. Se agradecen mucho sus comentarios sobre esta serie. Utilice el formulario de comentarios a continuación para hacernos saber qué tema le gustaría que presentemos o analicemos más a fondo. Gracias por leer.

Keisuke Shikano

(Traducido por Takumi Nakano)

Source link

Artículos y alertas de seguridad

Consultar más contenidos y alertas

Alertas y noticias de seguridad de la información

Contacta

Contacta con nosotros para obtener soluciones integrales en IT y seguridad de la información

Estamos encantados de responder cualquier pregunta que puedas tener, y ayudarte a determinar cuáles de nuestros servicios se adaptan mejor a tus necesidades.

Nuestros beneficios:
¿Qué sucede a continuación?
1

Programamos una llamada según tu conveniencia.

2

Realizamos una reunión de descubrimiento y consultoría.

3

Preparamos una propuesta.

Agenda una consulta gratuita